Checklist KYC fournisseur : 10 étapes incontournables en 2026

Un onboarding fournisseur bâclé coûte en moyenne 27 000 € par incident — défaut de paiement, sanction manquée, fraude documentaire (étude Deloitte 2024). Cette checklist en 10 étapes, testée sur 500+ audits, couvre 90 % des cas de figure. Applicable France et Maroc.

Étape 1 — Collecter l'identifiant officiel

• France France : SIREN (9 chiffres) ou SIRET (14 chiffres) — via Pappers, INSEE, Societe.com
• Maroc Maroc : ICE (15 chiffres) + numéro RC — via DGI, OMPIC
• UE UE : numéro TVA intracommunautaire — via VIES (ec.europa.eu/taxation_customs/vies)
• International : D-U-N-S Number ou LEI (Legal Entity Identifier 20 caractères)

Red flag : le fournisseur refuse ou tarde à communiquer son identifiant officiel.

Étape 2 — Vérifier l'existence légale

• Interroger la base officielle correspondante (INSEE, OMPIC, VIES)
• Vérifier le statut : actif, suspendu, radié, en procédure collective
• Noter la date de création (ancienneté = signal de stabilité)
• Contrôler la cohérence adresse / activité / effectif déclaré

Étape 3 — Obtenir et analyser les documents

Documents à demander systématiquement :

• Extrait Kbis (France) / Attestation RC (Maroc) — < 3 mois
• Attestation fiscale URSSAF (France) / DGI (Maroc) — < 3 mois
• Attestation sociale URSSAF (France) / CNSS (Maroc) — < 3 mois
• 2 derniers bilans et comptes de résultat (si disponibles)
• RIB professionnel au nom exact de l'entreprise
• Assurance responsabilité civile professionnelle (selon secteur)

Étape 4 — Identifier le bénéficiaire effectif (UBO)

Le bénéficiaire effectif est la personne physique qui contrôle réellement l'entité (détention > 25 % du capital ou droits de vote, ou contrôle par d'autres moyens).

• France France : consulter le Registre des Bénéficiaires Effectifs (RBE) via Infogreffe
• Maroc Maroc : demander déclaration UBO directement au fournisseur (registre RBE marocain en cours de généralisation)

Red flag : structure détenue à > 50 % par une société offshore (BVI, Panama, Marshall Islands) sans explication commerciale claire.

Étape 5 — Screener contre les sanctions internationales

Listes à croiser impérativement :

• OFAC SDN List (US) — 18 000+ entités
• Liste consolidée ONU — 1 200+ entités
• OFSI UK — sanctions financières britanniques
• Liste UE — régimes de sanctions européens
• Gel des avoirs Trésor (France)
• Office des Changes (Maroc)

Outil recommandé : plateforme agrégée comme RiskSonar, OpenSanctions ou ComplyAdvantage. Le screening manuel 6 listes prend 30+ minutes par entité.

Étape 6 — Détecter les PEP parmi les dirigeants

Les PEP (Personnes Politiquement Exposées) déclenchent une vigilance renforcée (EDD) même sans suspicion :

• Ministres, parlementaires, gouverneurs
• Hauts magistrats, dirigeants d'autorités
• Ambassadeurs, officiers militaires supérieurs
• Dirigeants d'entreprises publiques stratégiques
• Proches familiaux et collaborateurs directs des PEP

Les listes PEP consolidées (OpenSanctions ~700k, Wikidata ~500k) couvrent les figures identifiables. Pour les PEP locaux moins connus, s'appuyer sur un outil couvrant la juridiction concernée (RiskSonar couvre France + Maroc avec ~30 000 PEP spécifiquement marocains).

Étape 7 — Analyser l'historique BODACC / procédures collectives

• France Consulter le BODACC par SIREN
• Chercher : sauvegarde, redressement, liquidation, radiation d'office
• Maroc Consulter le Bulletin Officiel du Maroc (BO) pour les procédures publiées

Red flag : 2+ procédures en 5 ans, même anciennes.

Étape 8 — Croiser le dirigeant avec son réseau

Un dirigeant qui a déjà laissé plusieurs entreprises en liquidation suit un pattern. Comment vérifier :

• Rechercher le nom du dirigeant principal dans BODACC (famille avis = collective)
• Croiser avec le Fichier National des Interdits de Gérer (FNIG)
• RiskSonar expose automatiquement la Fiche Dirigeant avec toutes ses sociétés, sanctions, PEP

Étape 9 — Vérifier la réputation en ligne et la presse

• Recherche Google du nom de l'entreprise + "fraude", "arnaque", "escroquerie"
• Vérifier les avis Trustpilot, Glassdoor, Google Maps
• Lire la presse spécialisée sur les 3 dernières années (GDELT ou Google News)

Un silence complet sur une entreprise qui prétend faire 10 M€ de CA = anormal. Une présence très négative = red flag évident.

Étape 10 — Documenter et archiver

Tout le dossier KYC doit être :

• Archivé 5 ans minimum (10 ans pour les assujettis LCB-FT stricts)
• Conservé de manière sécurisée (accès restreint, chiffrement)
• Re-vérifié périodiquement (recommandation : annuel pour risque standard, trimestriel pour risque élevé)
• Prêt à être présenté en cas de contrôle Tracfin / ACPR / ANRF

Une bonne documentation KYC protège l'entreprise en cas de problème ultérieur : si un fournisseur s'avère frauduleux mais que vous avez fait une due diligence raisonnable et documentée, votre responsabilité est largement couverte.

Template d'onboarding simplifié

Voici un template email à envoyer au nouveau fournisseur pour collecter les pièces en un seul tour :

Objet : Onboarding fournisseur - Documents à fournir

Bonjour [NOM],

Pour finaliser votre référencement dans notre SI achats, merci de nous
transmettre les documents suivants sous 7 jours :

1. Extrait Kbis (ou attestation RC pour Maroc) < 3 mois
2. Attestation URSSAF (ou CNSS) de paiement des cotisations
3. Attestation fiscale de régularité
4. 2 derniers bilans et comptes de résultat (si SARL/SAS)
5. RIB au nom exact de [RAISON SOCIALE]
6. Assurance RC professionnelle en cours
7. Déclaration sur l'honneur de bénéficiaire effectif

Tous les documents peuvent être envoyés par email à compliance@[domaine].com.

Bien cordialement,

FAQ — 5 questions fréquentes sur le KYC fournisseur

Le KYC fournisseur est-il obligatoire ?

Pour les assujettis LCB-FT (banques, assurances, experts-comptables, avocats, agents immobiliers, PSAN...), oui, c'est une obligation légale. Pour les entreprises non assujetties, ce n'est pas formellement obligatoire, mais constitue une bonne pratique de gestion des risques — et une protection en cas de fraude d'un fournisseur.

Faut-il refaire le KYC tous les ans ?

Pour les fournisseurs classés à risque faible : révision annuelle suffit. Pour le risque standard : tous les 2 ans. Pour le risque élevé (PEP, juridiction à risque, montants importants) : trimestriel ou semestriel. Tout changement significatif (changement de dirigeant, déménagement, procédure collective) doit déclencher une révision immédiate.

Que faire si le fournisseur ne fournit pas les pièces demandées ?

Refuser de commencer la relation. Un fournisseur légitime transmet tous les documents demandés dans la semaine. Un refus, un délai supérieur à 30 jours, ou la fourniture de documents falsifiés = signal d'alerte majeur. Préférez un fournisseur transparent à un pseudo-bon prix.

Comment traiter un fournisseur étranger (hors UE) ?

Adaptez la checklist au registre de commerce du pays : Companies House au Royaume-Uni, Registo Comercial au Portugal, Handelsregister en Allemagne, etc. Ajoutez systématiquement un screening OFAC + ONU + UE, plus une vérification du pays sur la liste GAFI (pays à haut risque = vigilance renforcée obligatoire).

Combien de temps prend un KYC complet ?

Sans outil : 2 à 4 heures par fournisseur (collecte docs, vérification manuelle sur chaque source, screening sanctions, documentation). Avec un outil consolidé comme RiskSonar : 5 minutes (scan automatisé + validation humaine des red flags détectés). ROI de l'automatisation : 95 % de temps économisé au-delà de 20 KYC/mois.